防范sql注入攻击（上）
同步一下我baidu的blog：http://hi.baidu.com/ncheng/blog/item/bc65f82a1a6a7c335343c11c.html
Sql注入是一种入门极低破坏极大的攻击方式。如果sql是用字符串拼接出来的话，那么肯定会被注入攻击，前段时间还传出了某国外大型社交网站被SQL注入攻击。
Sql注入攻击的方式，来这里看的同志们应该很清楚了，就是在拼接字符串的时候，如果输入的是带单引号的，那么输入laf' or 1='1' --这样就会逃避条件检查，后面要是再跟一些shutdown，delete之类的条件，那么损失基本算是毁灭性的了。前几天单位开发的过程中我发现几乎大家都不重视安全，一个写代码的人不注意安全只注意实现那么写出来的代码在攻击者眼前基本就是一个没有穿衣服的美女。
下面是我一个开发人员的一些经验，主要用来防止sql注入。
1、首先对运行sql的用户赋予最小权限，这个理论也是安全领域的最小特权理论，运行一个程序一定要用最小特权运行，所以不要给用户服务DBA的权限，限制要权限之后可以防止一些毁灭性的攻击，即使攻入了也不会shutdown修改表之类的。
2、一定不要使用字符串拼接的方式构造sql，必须使用参数化sql，存储过程可以看作是参数sql，简单的就直接构造参数化sql，复杂的就写存储过程，不过存储过程中一定不要用字符串，我看有人在存储过程用字符串，这样还是不能避免被攻击，并且在调试的时候非常麻烦。
3、严把输入关，系统肯定是用来交互的，所有用户输入的这一关一定要把好，可以利用各种方式来检验用户的输入，让输入都是合法的；可以设敏感字符不让用户输入，这个虽然不是很友好，不过对与安全有保证。在验证的是可以用正则表达式或者程序验证，不管用什么方式只要把敏感字符和可疑字符拒之门外那么就无法攻击了，不过限制输入还是有缺陷，在安全理论方面，只能确定合法，不能确定不合法，比如你在界面限制了合法的，那么剩余的都是不合法的，这时候输入的肯定全部是合法的，如果你限制的是非法的，可是你能确保你限制的全是非法的？如果某一天发现一个非法的不再你限制之内那么你就会被攻击。
4、做好自己的检验和测试工作，自己可以进行sql注入攻击，利用工具检验。
5、一定要养成具有安全意识的程序员，时刻想着安全。
这几条之中最重要的是1和2，权限限制一定要注意，不然会死的很惨的，第二就是程序员的习惯了，一定要用参数化sql和数据库交互。
时间太晚了，明天还要上班呢，就到这里吧，下一篇我就通过实例来说说程序员最关心�
相关文档：
上次做了个项目，涉及到数据库的还原和恢复，到网上找了一下，是利用SQLDMO实现的，只要添加SQLDMO引用就好了，然后利用下边的类的方法就可以实现了。
我把原作者的类扩充了一下，可以自动识别web.config里 的数据库连接字符串，可以通过变量设置还原恢复的信息。
需要注意的时还原，还原的时候问题最大了，有别 ......
在工作中遇到一个问题,是需要sql递归查询的.不懂,于是到csdn上去问,那里的效率真是非常高,我以前也没在上面问过问题.
问题描述:
我有一个表结构如下:
id upperid
1 2
3 2
4 1
5 3
具体层次不知道,我想用递归sql� ......
一、创建一个简单的触发器
触发器是一种特殊的存储过程，类似于事件函数，SQL Server? 允许为 INSERT、UPDATE、DELETE 创建触发器，即当在表中插入、更新、删除记录时，触发一个或一系列 T-SQL语句。
触发器可以在查询分析器里创建，也可以在表名上点右键->“所有任务”->“管理触发器”来创建 ......
Student(S#,Sname,Sage,Ssex) 学生表
Course(C#,Cname,T#) 课程表
SC(S#,C#,score) 成绩表
Teacher(T#,Tname) 教师表
问题：
1、查询“001”课程比“002”课程成绩高的所有学生的学号；
select a.S# from (select s#,score from SC where C#='001') a,(select s#,score
& ......
1、 SQL Server：入站端口为TCP 1433，出站端口为TCP任意端口（1024～5000之间的端口号）；
2、 SQL Browser ：入站端口为UDP 1434，出站端口为UDP任意端口（1024～5000之间的端口号）；
3、查看或修改SQL2005实例的端口号，如果系统中同时安装SQL 2000和SQL 2005，SQL 2005的连接端口可能不是1433，我们需要更改SQL 2005 ......
